「HardBreacher」という名称で公開された概念実証(PoC)が、Kaspersky Endpoint Security for Windowsの未修正の権限昇格の問題を悪用すると主張しており、ローカルユーザーが影響を受けるWindows 11システム上で高レベルのアクセス権を取得できる可能性があるとされています。
GitHubユーザーのMSNightmare(別名Nightmare Eclipse)氏が文書化したもので、ベンダー側の確認が得られるまでは、未検証ではあるものの企業のセキュリティにとって優先度の高い露出事案として扱うべき内容です。
HardBreacherのリポジトリでは、この問題を「Kaspersky Antivirus For Endpoint ZeroDay Elevation of Privileges Vulnerability」と説明しています。
プロジェクトの文書によると、研究者はこのPoCを、完全にパッチが適用されたWindows 11 25H2環境上で稼働するKaspersky for Endpointバージョン14.0.0.504に対してテストしたとしています。
主張されている脆弱性はリモートではなくローカルのものです。攻撃者はまず、マルウェアや盗み取ったユーザー認証情報、悪意のあるソフトウェアインストーラー、あるいは別の脆弱性の悪用といった手段によって、対象デバイス上でコード実行の権限や何らかの足がかりを得ている必要があります。
悪用に成功した場合、ローカルユーザーは通常そのアカウントでは利用できないはずの権限を取得できるとされており、これにより低権限での初期侵害が、はるかに深刻なシステムレベルのインシデントへと発展する恐れがあります。
今回の公開が特に注目される理由は、エンドポイントセキュリティ製品が一般的にオペレーティングシステム上で広範な権限を持って動作し、保護されたファイルやプロセス、サービス、ユーザーインターフェースのコンポーネントと密接にやり取りしている点にあります。
信頼されたコンポーネントへの干渉を可能にする欠陥は、本来悪意ある活動を防ぐために設けられた制御機構そのものを無力化しかねません。
研究者は、現時点のPoCは不安定であり、成功するまでに何度も失敗する可能性があると述べています。動作に成功した場合、このPoCはWindows System32ディレクトリ内にDLLファイルを作成し、現在のユーザーにそのファイルへの広範な権限を付与するとされています。
この挙動が重要なのは、保護されたWindowsディレクトリは通常、標準ユーザーからはアクセスできないためです。
システムから信頼された場所にあるコンテンツを改変または置き換えられる攻撃者は、影響を受けるエンドポイントのコンポーネントがそのファイルをどのように読み込み、またやり取りするかによっては、この経路を永続化や防御回避、あるいはさらなる権限の悪用へと連鎖させられる可能性があります。
HardBreacherの文書はさらに、この製品のUIプロセスを制御することでKaspersky Endpoint Securityの動作が予測不能になり得るとも主張しています。
研究者は、これによりセキュリティ機能が失敗したり、ファイルアクセスが誤って許可または拒否されたり、オペレーティングシステム全体の安定性が損なわれたりする可能性があると主張しています。ただし、これらの技術的な主張は、本レポート作成にあたって確認した範囲では、Kaspersky側による独自の検証は得られていません。
このPoCが一般公開されたことで、該当するKaspersky Endpoint Securityのリリースを利用している組織にとって、対応の緊急性は一段と高まっています。
このエクスプロイトは信頼性が低いとされているものの、不安定なエクスプロイトコードであっても、攻撃者にとっては改良や信頼性向上の出発点となったり、侵害後に使うツールキットへ組み込まれたりする可能性は残ります。
MSNightmare氏は具体的に、完全にパッチが適用されたWindows 11 25H2環境でのテストに成功したと主張しており、これは主張されている脆弱なコンポーネントがWindowsオペレーティングシステム自体ではなく、エンドポイント製品側に存在することを示唆しています。
影響を受けるとされるKaspersky Endpoint Security for Windows 14.0.0.504は、2026年4月16日に公開されたとされており、フルサポートは2028年4月まで予定されています。
各組織は直ちにKaspersky Endpoint Security for Windowsの導入状況を棚卸しし、バージョン14.0.0.504を稼働しているシステムを特定した上で、正式な対応やパッチ適用済みビルドの提供に関するKasperskyのアドバイザリおよび製品アップデートチャネルを注視すべきです。
Kasperskyから検証済みのアドバイザリが発行されるまでは、防御側はHardBreacherを、CVEによって裏付けられた確定済みの脆弱性としてではなく、公に主張されているローカル権限昇格のリスクとして扱い、監視体制を強化する必要があります。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/hardbreacher-poc-targets-kaspersky-endpoint-security-zero-day/
